Conditions de l’API

• Vos clés sont personnelles à votre boutique. Une clé sandbox ne déplace jamais d’argent réel, une clé live si.
• Une clé secrète reste sur votre serveur. Elle ne doit apparaître ni dans une page web, ni dans une application mobile, ni dans un dépôt de code.
• Si une clé est exposée, révoquez-la aussitôt depuis l’espace Développeurs. Vous restez responsable des opérations faites avec vos clés.

L’API sert à accepter des paiements, gérer vos abonnements et vos retraits, et lire vos propres données. Il est interdit :

• de tester la charge ou la sécurité du service sans notre accord écrit ;
• de contourner les limites, les contrôles ou la vérification d’identité ;
• de revendre l’accès à l’API ou d’encaisser pour un tiers sans accord ;
• de faire des paiements fictifs en live.

• Chaque clé est limitée à 60 requêtes par minute. Au-delà, l’API répond avec le code 429.
• Une création de paiement ou de retrait doit porter une clé d’idempotence, pour qu’une requête répétée ne soit jamais exécutée deux fois.
• Votre intégration doit tolérer l’ajout de nouveaux champs dans les réponses et les événements.

Les événements sont envoyés à vos adresses avec une signature à vérifier. Une livraison qui échoue est réessayée plusieurs fois. Votre serveur doit répondre rapidement avec un code 2xx et traiter un même événement reçu deux fois sans effet en double.

Un retrait créé par l’API est validé par notre équipe comme tout autre retrait. Il n’est pas instantané : prévoyez ce délai si vous versez de l’argent à vos propres clients.

Les changements sont publiés dans le journal des changements de la documentation. Un changement qui casse une intégration existante est annoncé au moins 30 jours à l’avance, sauf raison de sécurité ou obligation légale.

L’API est fournie sans garantie de disponibilité continue. Nous pouvons limiter ou suspendre une clé utilisée de manière abusive, compromise ou contraire à ces conditions.